CRA 差距分析
Sytance · 更新于
CRA 差距分析把当前产品及制造商流程与适用要求进行比较，找出需要整改或补充证据的事项。它是一种实施方法，法规并未单独规定名为“差距分析”的义务。
差距分析的法规依据
以该产品适用的 CRA 要求为比对依据。第 6 条和第 13 条规定产品及风险评估义务，各附件规定安全要求和需要提供的信息。评估采用了标准或技术规范时，也应纳入比对。
- 第 6 条和附件 I 规定产品要求和漏洞处理要求。
- 第 13 条要求进行网络安全风险评估，并说明确定支持期的依据。
- 附件 II 列出用户信息和说明。
- 附件 VII 列出技术文档内容。
- 第 32 条规定不同产品类别可采用的合格评定途径。
- 协调标准或其他技术规范可以帮助说明要求如何满足，但其法律效果取决于发布及引用状态。
差距的含义
差距可能出现在产品、制造商流程或支持结论的证据中。例如，更新机制可能尚未实现签名校验；也可能已经实现，但缺少测试结果证明它能拒绝被修改的包。两种发现需要采取不同措施。
要求差距
产品或流程尚未满足一项适用要求。
证据差距
产品可能已有措施，但技术文档没有清楚说明。
分析差距
缺少风险评估或要求适用性的判断依据，或分析过于笼统，未反映该产品的实际情况。
评定依据不足
选用了某项标准、认证或评定路径，却未确认其法律状态或是否适用于该产品类别。
示例：验证并解决安全更新问题
一款虚构控制器已设计签名固件更新，但团队尚未测试设备是否拒绝由不可信密钥签名的映像。最初发现的是证据差距；如果测试表明设备会接受该映像，还需要记录实现差距。
- 判断依据：关联适用的附件 I 要求、风险评估和安全更新设计，注明产品版本及配置。
- 差距描述：写清缺失的测试或实际观察到的行为，分别标明未经测试的假设与已经验证的故障。
- 整改安排：由固件团队完成必要修改，由验证团队测试受影响的更新路径；结合产品发布决策确定完成时间。
- 整改证据：关联修订后的设计或变更记录、相应构建版本的测试结果，以及更新后的风险评估。引用已有测试结果时，说明其仍适用于当前版本的理由。
- 复核：由负责人员对照原始差距检查新证据。任务完成或报告上传本身，并不能说明差距已经解决。
每项差距应注明对应要求并解释缺少什么，再确定责任人、整改措施和验收条件。评审结论与支持证据一并保留。
完成比例只能反映检查表条目的完成情况，不能说明剩余差距的严重程度或证明符合性。一个尚未解决的更新认证问题，可能比多项已经完成的文档工作更影响产品安全。
差距分析的输入
开展差距分析前，需要明确产品边界、分类和合格评定路径。否则，检查表可能遗漏适用要求，也可能把不适用的要求列成整改事项。
风险评估是判断附件 I 中哪些产品要求适用的主要依据。分析结论及支持证据应汇入技术文档。详见 网络安全风险评估 和 技术文档。